Czy przekazywanie danych pasażerów linii lotniczych do Kanady jest zgodne z prawem

Od 2010 roku Unia Europejska i Kanada negocjowały umowę o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera (umowa PNR). Ma ona umożliwić przekazywanie danych PNR władzom Kanady, które będą je wykorzystywać, zatrzymywać i ewentualnie przekazywać dalej, by zwalczać terroryzm i poważne przestępstwa międzynarodowe. Projekt umowy reguluje również wymogi w zakresie bezpieczeństwa i integralności danych PNR, natychmiastowe maskowanie danych szczególnie chronionych, prawo dostępu do danych, ich poprawiania i usuwania, możliwość wnoszenia administracyjnych lub sądowych środków odwoławczych oraz okres przechowywania danych, ograniczony do pięciu lat.

Umowa została podpisana w 2014 roku, po czym Rada Unii Europejskiej zwróciła się do Parlamentu Europejskiego o wyrażenie na nią zgody. Ten ostatni postanowił wówczas wystąpić do Trybunału Sprawiedliwości UE, by ustalić, czy przewidywana umowa jest zgodna z prawem Unii, które gwarantuje poszanowanie życia prywatnego i rodzinnego oraz ochronę danych osobowych.

Parlament zastanawiał się, czy pomimo zabezpieczeń przewidzianych w umowie, ingerencja w prawo podstawowe do ochrony danych jest uzasadniona. W swojej opinii rzecznik generalny Paolo Mengozzi stwierdził przede wszystkim, że przewidywana umowa jest zgodna z Kartą praw podstawowych UE. Jest jednak kilka warunków, które musi spełnić m.in.:

• kategorie danych PNR pasażerów linii lotniczych będą sformułowane w sposób jasny i precyzyjny i że dane szczególnie chronione będą wyłączone z zakresu stosowania umowy,

• umowa wskaże w sposób wystarczająco jasny i precyzyjny organ odpowiedzialny za przetwarzanie danych PNR, w sposób zapewniający ochronę i bezpieczeństwo tych danych,

• umowa określi, że tylko urzędnicy kanadyjskiego właściwego organu są upoważnieni do dostępu do danych PNR oraz ustanowi obiektywne kryteria pozwalające uściślić liczbę tych urzędników,

• umowa wskaże obiektywne powody uzasadniające konieczność zatrzymywania wszystkich danych PNR maksymalnie przez okres pięciu lat, przy czym w sytuacji, gdy dane PNR powinny być zatrzymane przez okres pięciu lat, dane umożliwiające bezpośrednią identyfikację pasażera linii lotniczych powinny, przez maskowanie, zostać pozbawione cech umożliwiających identyfikację osoby.

Rzecznik uważa, że niektóre postanowienia umowy są sprzeczne z Kartą praw podstawowych UE. Chodzi m.in. o postanowienia, które:

• pozwalają, wykraczając poza to, co ściśle konieczne, rozszerzyć możliwości przetwarzania danych PNR, niezależnie od celu tej umowy dotyczącego bezpieczeństwa publicznego, to jest zapobiegania przestępstwom terrorystycznym i poważnym przestępstwom międzynarodowym,

• przewidują przetwarzanie, wykorzystywanie i zatrzymywanie przez Kanadę danych PNR zawierających dane szczególnie chronione,

• dopuszczają zatrzymywanie przez Kanadę danych PNR przez maksymalny okres pięciu lat, w szczególności w celu podejmowania szczególnych działań, przeglądu, dochodzenia lub postępowań sądowych, przy czym nie jest wymagany jakikolwiek związek z celem umowy dotyczącym bezpieczeństwa publicznego.